Alerta Crítica Vulnerabilidad RCE PLM

Resumen:
PTC ha emitido una advertencia urgente sobre una vulnerabilidad crítica de ejecución remota de código (RCE) en sus plataformas Windchill y FlexPLM, ampliamente utilizadas para la gestión del ciclo de vida del producto (PLM). Esta falla representa una amenaza inminente, lo que exige una acción inmediata para mitigar posibles ataques.

Leer el artículo completo

LiteLLM PyPI Package Compromised Credentials

Resumen:
El grupo de hackers TeamPCP ha llevado a cabo un ataque a la cadena de suministro, comprometiendo el popular paquete Python «LiteLLM» en PyPI. Este ataque implementó una puerta trasera en el paquete, diseñada para robar credenciales y tokens de autenticación, y los atacantes afirman haber extraído datos de cientos de miles de dispositivos. Este incidente resalta la crítica vulnerabilidad de las dependencias de software y la necesidad de una verificación rigurosa de los componentes de terceros.

Leer el artículo completo

FCC Bans Foreign Routers Over Security

Resumen:
La Comisión Federal de Comunicaciones (FCC) ha actualizado su lista de prohibiciones para incluir todos los routers de consumo fabricados en determinados países extranjeros, vetando la venta de nuevos modelos en Estados Unidos. Esta medida se toma debido a riesgos de seguridad percibidos asociados con estos dispositivos, buscando fortalecer la ciberseguridad y la integridad de la cadena de suministro en hardware de red. Aunque no detalla vulnerabilidades específicas, es una acción gubernamental importante que resalta la preocupación por la seguridad en el hardware de red.

Leer el artículo completo

TeamPCP Compromete Paquete Python Malicioso

Resumen:
El grupo de amenazas TeamPCP ha comprometido el popular paquete Python LiteLLM, distribuyendo versiones maliciosas (1.82.7 y 1.82.8). Estas versiones contenían un recolector de credenciales, un kit de herramientas para movimiento lateral en entornos Kubernetes y una puerta trasera persistente. La intrusión se ejecutó a través de un compromiso previo del sistema CI/CD de Trivy, lo que subraya la importancia de la seguridad en la cadena de suministro de software.

Leer el artículo completo

Malvertising Delivers ScreenConnect, Blinds EDR

Resumen:
Una campaña de malvertising masiva, activa desde enero de 2026, está explotando anuncios de búsqueda de Google para dirigirse a individuos en EE. UU. que buscan documentos fiscales. La campaña distribuye instaladores falsos de ConnectWise ScreenConnect, que luego instalan la herramienta HwAudKiller. Esta herramienta utiliza la técnica «bring your own vulnerable driver» (BYOVD) con un controlador de Huawei para deshabilitar programas de seguridad (EDR), permitiendo a los atacantes operar sin ser detectados. Esta noticia es crucial para entender las tácticas de evasión y la importancia de la cautela con los anuncios en línea, sirviendo también como excelente material de formación.

Leer el artículo completo

Pharos Controller Crítica Vulnerabilidad Detectada

Resumen:
La CISA ha emitido una alerta sobre una vulnerabilidad crítica (CVE-2026-2417) en el firmware 2.15.3 del Pharos Controls Mosaic Show Controller, con una puntuación CVSS de 9.8. Esta falla, clasificada como «Missing Authentication for Critical Function» (CWE-306), permite a un atacante no autenticado ejecutar comandos arbitrarios con privilegios de root, afectando instalaciones comerciales globalmente. La recomendación clave es actualizar el firmware a la versión 2.16 o superior. El aviso también incluye prácticas de seguridad esenciales para sistemas de control industrial (ICS), como la minimización de la exposición en red, el uso de firewalls y VPNs, así como consejos generales contra la ingeniería social, útiles para la formación del personal.

Leer el artículo completo

Vulnerabilidades Críticas en Sistema Industrial

Resumen:
Este aviso detalla múltiples vulnerabilidades críticas (CVE-2025-49844, CVE-2025-46817, CVE-2025-46818, CVE-2025-46819) que afectan al software Schneider Electric Plant iT/Brewmaxx, utilizado en sectores de infraestructura crítica como energía y manufactura. La explotación exitosa, con puntuaciones CVSS de hasta 9.9 (Crítica), podría resultar en escalada de privilegios y ejecución remota de código debido a fallos como «use-after-free» y desbordamiento de enteros en su componente Redis. El aviso proporciona mitigaciones urgentes, incluyendo la instalación de un parche del proveedor, la desactivación de comandos ‘eval’ de Redis y la implementación de sólidas mejores prácticas de ciberseguridad industrial, como la segmentación de red, controles de acceso físico y acceso remoto seguro, información valiosa para la formación de empleados.

Leer el artículo completo

Critical Foxboro DCS Deserialization Flaw

Resumen:
Schneider Electric ha alertado sobre una vulnerabilidad crítica (CVE-2026-1286) de deserialización de datos no confiables en su software de control EcoStruxure Foxboro DCS. Esta falla podría permitir la pérdida de confidencialidad e integridad, así como la ejecución remota de código en estaciones de trabajo comprometidas si un usuario con privilegios de administrador abre un archivo de proyecto malicioso. Las versiones anteriores a CS8.1 están afectadas. La mitigación principal es actualizar a la versión CS 8.1, pero también se recomiendan medidas como el uso exclusivo de datos de fuentes confiables, revisión de la integridad de archivos, uso de canales de comunicación seguros, minimización de medios extraíbles y aislamiento de los sistemas DCS. El aviso incluye además recomendaciones generales de ciberseguridad para sistemas de control industrial, útiles para la formación de empleados.

Leer el artículo completo

ChatGPT Library Stores Your Files

Resumen:
OpenAI ha lanzado una nueva función para ChatGPT llamada ‘Library’ (Biblioteca), la cual permite a los usuarios almacenar sus archivos personales o imágenes directamente en el almacenamiento en la nube de OpenAI. Esto permite referenciar dichos elementos en futuras conversaciones. Esta noticia es relevante para la formación de empleados, ya que destaca la importancia de la concienciación sobre la privacidad de los datos y los riesgos de seguridad asociados con el almacenamiento de información sensible en servicios de terceros en la nube.

Leer el artículo completo

Mazda Revela Incidente de Seguridad

Resumen:
Mazda Motor Corporation ha anunciado un incidente de seguridad detectado en diciembre, que resultó en la exposición de datos pertenecientes a sus empleados y socios comerciales. Este tipo de noticia es crucial para entender la persistencia de las filtraciones de datos y sirve como un recordatorio importante para la formación de empleados sobre la protección de información sensible.

Leer el artículo completo

Tycoon2FA Phishing Platform Resurfaces Swiftly

Resumen:
La plataforma de phishing como servicio (PhaaS) Tycoon2FA, que había sido desmantelada por Europol y sus colaboradores el 4 de marzo, ha recuperado rápidamente sus niveles de actividad previos. Este resurgimiento subraya la persistencia y resiliencia de las operaciones de phishing sofisticadas, siendo crucial para comprender los ataques más habituales y la formación de los empleados sobre la detección de amenazas continuas.

Leer el artículo completo

Hackers Abusan Tareas VS Code

Resumen:
Actores de amenazas norcoreanos, asociados a la campaña Contagious Interview, están distribuyendo el malware StoatWaffle. La novedosa táctica, observada desde diciembre de 2025, implica el abuso de las tareas de auto-ejecución (`tasks.json`) dentro de proyectos maliciosos de Microsoft Visual Studio Code (VS Code) para el despliegue del malware. Esta noticia es crucial para entender nuevos vectores de ataque en entornos de desarrollo y para la formación de empleados sobre la seguridad en sus herramientas de trabajo.

Leer el artículo completo

Ataques CI/CD, Explotaciones Y Malware

Resumen:
Este resumen semanal destaca la persistencia de vulnerabilidades y la facilidad con que los sistemas son comprometidos, a menudo por ignorar medidas básicas. El informe cubre ataques a la cadena de suministro en configuraciones CI/CD, la rápida conversión de vulnerabilidades divulgadas en exploits activos, el abuso de dispositivos IoT, y la aparición de nuevas tácticas de malware. Es una lectura esencial para entender las amenazas actuales y la importancia de la seguridad fundamental.

Leer el artículo completo

Ataques a AWS Bedrock identificados

Resumen:
La noticia detalla el descubrimiento de ocho vectores de ataque dentro de AWS Bedrock, la plataforma de Amazon para construir aplicaciones impulsadas por IA. La potencia de Bedrock reside en su capacidad para conectar modelos de base directamente a datos y sistemas empresariales (como Salesforce, funciones Lambda o SharePoint). Esta conectividad, si bien es una fortaleza, también convierte a Bedrock en un objetivo prioritario. El artículo describe lo que los atacantes podrían lograr explotando estas vulnerabilidades, resaltando los riesgos de seguridad críticos asociados con la integración de agentes de IA con los sistemas centrales de una empresa.

Leer el artículo completo

El proyecto utilizó el D-Wave Advantage, un ordenador cuántico con 5.760 cúbits que no pertenece a ninguna instalación militar secreta ni laboratorio restringido, está disponible para ciertos centros de investigación.

Lo preocupante es que este equipo consiguió vulnerar una clave RSA, uno de los sistemas de cifrado más clásicos y, todavía, presente en infinidad de servicios digitales.

El verdadero temor no es lo que se ha roto hoy, sino lo que puede ser vulnerable mañana. Actualmente, muchas otras plataformas digitales utilizan algoritmos que, en teoría, requerirían miles de años para ser vulnerados por ordenadores tradicionales. Pero los cúbits cambian las reglas del juego.

Noticia completa: Ver

Ya ha pasado casi un mes de uno de los sucesos que ha sido, sin duda, uno de los problemas cibernéticos más importantes del año y posiblemente de la década. Esta definición no la doy solo yo, si no que la dan altos cargos de otras empresas como Omer Grossman (CIO de CyberArk).

La actualización defectuosa hizo que más de 8.5 millones de ordenadores con Windows como sistema operativo estuvieran inservibles y el daño a los procesos empresariales a nivel mundial fue dramático. Este fallo afectó tanto a pequeñas empresas como a infraestructuras críticas, como hospitales.

Desde CrowdStrike explicaron unos días despues lo sucedido y cual fue la causa del error y de no saltar las alarmas de los diversos controles realizados antes de su puesta en producción.

Primero comenzar explicando que hay dos punto clave en este problema:

1. «Sensor content»
2. «Rapid response content»

Sensor content

Fue el principal acusado en el momento de máxima tensión. Es muy común que se actualiza y para desplegar debe pasar diversos test (Unitarios, de integración, de estrés y de desempeño). Contiene diversos modelos de machine learning, IA, etc para detectar amenazas de una forma más efizaz.

Los clientes pueden elegir que versión tener. Es decir, pueden escoger actualizar siempre a la última versión (N) o pueden escoger alguna versión previa (N-1, N-2….), que debería estar más testada y, por tanto, ser más estable.

Desde CrowdStrike nos aclararon que este no fue el culpable del incidente. El despliegue fue correcto, paso un exhausitvo QA y todos los test. Es decir, no dio ningún problema.

Rapid response content

Es el encargado de analizar patrones de comportamiento. Busca similitudes con virus conocidos para detectar cuando algún virus muta o se camufla de cierta forma.

El «código» (que realmente no es código como tal), está en un archivo binario propietario. Es decir, es un archivo binario cuyo «código» es privado.

Básicamente funciona con heurísticas de comportamiento, es decir, intenta detectar amenazas basándose en como se comportan los programas y no en lo que son. Para que lo veamos con un ejemplo, se podría decir que se trata de un policía que en lugar de fijarse en tu nombre y antecedentes, analiza si estás teniendo un comportamiento extraño.

Esto se entrega como «Template instance», o lo que es lo mismo, modelos de comportamiento.

Dentro de cada actualización del sensor «Falcon», está dentro este «Rapid Response Content»

Falcon

Tiene tres subsistemas:

• «Content Configuration System»
• «Content Interpreter»
• «Sensor Detection Engine»

Content Configuration System

Nos vamos a centrar en este, que es el que nos importa para este caso.

Antes de cada despliegue, una tarea a realizar es pasar un «Content Validator» que se encarga de comprobar que los «Template Instances» sean los correctos.

¿Qué ocurrió?

El día 28 de marzo se despliega el sensor 7.11. Añade un nuevo «IPC Template Type», que detecta novedosas vías de ataque. Ataques que atacaban a las «Named Pipes» por si te interesa informarte más en profundidad.

El 5 de marzo, se realiza un test de estrés del «IPC Template Type», que resulta exitoso. Se lanza el archivo «Channel File 291», siguiendo todos los tests exitosamente.

Otras tres «IPC Template Instances» se despliegan correctamente entre el 8 y el 24 de abril.

El 19 de julio, se despliegan 2 nuevas «IPC Template Instances». Y es en estas donde empiezan los problemas. El «Content Validator» tiene un bug que hace que no se detecten unos datos inválidos (a pesar de que el 5 de marzo se habían superado todos los test pertinentes). Como no detecta ningún error, se despliega en producción.

El sensor «Falcon» que tienen todos los ordenadores, recibe los datos y los carga en el «Content Interpreter». El «Channel File 291» produce un out-of-bounds memory exception porque también existía un bug de manejo de excepciones.

Y……

Medio mundo parado por una excepción mal manejada que salta de un fichero mínimamente incorrecto que no se detecta por un bug en un «Content Validator» que ha pasado unos tests que justamente no comprobaban lo que falló.

Tienes la explicación completa aquí: https://www.crowdstrike.com/falcon-content-update-remediation-and-guidance-hub/

Un ciberataque ha expuesto los datos personales de aproximadamente 50,000 profesionales de la sanidad en Granada. Este incidente comprometió información sensible de empleados de hospitales y centros de salud, poniendo en riesgo su privacidad y seguridad. Los datos afectados incluyen nombres, direcciones, números de identificación y posiblemente información financiera, lo que aumenta el riesgo de robo de identidad y otros tipos de fraude.

El ataque destaca la creciente amenaza de ciberataques en el sector de la salud, un área especialmente vulnerable debido a la gran cantidad de datos personales que maneja y su importancia crítica. Las autoridades han iniciado una investigación para identificar a los responsables y evaluar el alcance completo del daño. También se están tomando medidas para reforzar la ciberseguridad en los sistemas afectados, incluyendo auditorías de seguridad y la implementación de nuevas tecnologías de protección de datos.

Este incidente subraya la urgencia de mejorar las defensas cibernéticas en las instituciones de salud, no solo para proteger la información personal de los empleados, sino también para asegurar la continuidad de los servicios médicos esenciales. La comunidad médica y los expertos en ciberseguridad están colaborando para desarrollar estrategias más robustas y proactivas contra futuros ataques, enfatizando la necesidad de capacitación continua y la adopción de mejores prácticas en seguridad informática.

En resumen, el ciberataque en Granada pone de manifiesto la importancia de la ciberseguridad en el sector sanitario y la necesidad de una respuesta coordinada y eficaz para proteger los datos personales de los profesionales de la salud y garantizar la seguridad y privacidad en el manejo de información sensible.

Trello es una herramienta de gestión de proyectos en línea propiedad de Atlassian. Las empresas suelen utilizarla para organizar datos y tareas en tableros, tarjetas y listas.

Un usuario ha publicado más de 15 millones de direcciones de correo electrónico asociadas a cuentas de Trello que se recopilaron mediante una API no segura en enero. En enero, BleepingComputer informó que un atacante conocido como ‘emo‘ estaba vendiendo perfiles de 15.115.516 miembros de Trello en un popular foro de piratería. Si bien casi todos los datos de estos perfiles son información pública, cada perfil también contenía una dirección de correo electrónico no pública asociada a la cuenta.

Atlassian, el propietario de Trello, no confirmó en ese momento cómo se robaron los datos, pero el proopio ‘emo‘ le dijo a BleepingComputer que se recopilaron utilizando una API REST no segura que permitía a los desarrolladores consultar información pública sobre un perfil basado en el ID de Trello, el nombre de usuario o la dirección de correo electrónico de los usuarios.

‘emo’ creó una lista de 500 millones de direcciones de correo electrónico y la introdujo en la API para determinar si estaban vinculadas a una cuenta de Trello. Luego, la lista se combinó con la información de la cuenta obtenida para crear perfiles de miembros para más de 15 millones de usuarios. Finalmente, emo compartió la lista completa de 15.115.516 perfiles en el foro de piratería Breached por ocho créditos del sitio (por un valor de $2,32).

«Trello tenía un punto final de API abierto que permitía a cualquier usuario no autenticado asignar una dirección de correo electrónico a una cuenta de Trello», explicó emo en la publicación del foro. Continuaba diciendo que «originalmente, solo iba a alimentar los correos electrónicos de los puntos finales desde bases de datos ‘com’ (OGU, RF, Breached, etc.), pero decidí seguir con los correos electrónicos hasta aburrirme».

Esta información (Correo y nombre completo de los usuarios) se puede utilizar en ataques de phishing dirigidos para robar información más confidencial, como contraseñas. ‘emo’ también dice que los datos se pueden usar para doxing, lo que permite a los atacantes vincular direcciones de correo electrónico a personas y sus alias.

Desde Atlassian indicaron que se había corregido el problema: «Gracias a la API REST de Trello, los usuarios pueden invitar a miembros o invitados a sus tableros públicos por correo electrónico. Sin embargo, dado el uso indebido de la API descubierto en esta investigación de enero de 2024, realizamos un cambio para que los usuarios o servicios no autenticados no puedan solicitar información pública de otro usuario por correo electrónico. Los usuarios autenticados aún pueden solicitar información que está disponible públicamente en el perfil de otro usuario mediante esta API. Este cambio logra un equilibrio entre evitar el uso indebido de la API y mantener la función «invitar a un tablero público por correo electrónico» en funcionamiento para nuestros usuarios. Continuaremos monitoreando el uso de la API y tomaremos las medidas necesarias».

Las API no seguras se han convertido en un objetivo popular para los atacantes, que abusan de ellas para combinar información no pública, como direcciones de correo electrónico y números de teléfono, con perfiles públicos.

En 2021, se aprovecharon de una API para vincular números de teléfono a cuentas de Facebook , creando perfiles para 533 millones de usuarios.

En 2022, Twitter sufrió una vulneración similar cuando atacantes utilizaron de una API no segura para vincular números de teléfono y direcciones de correo electrónico a millones de usuarios.

Más recientemente, se utilizó una API de Twilio no segura para confirmar los números de teléfono de 33 millones de usuarios de la aplicación de autenticación multifactor Authy.

El software mSpy es una aplicación de vigilancia de teléfonos que se promociona como una forma de rastrear a niños o monitorear a empleados. Como la mayoría de los programas espía, también se usa ampliamente para monitorear a personas sin su consentimiento.

Este tipo de aplicaciones también se conocen como «stalkerware» porque las personas que tienen relaciones románticas a menudo las usan para vigilar a su pareja sin su consentimiento o permiso. La aplicación mSpy permite a quien haya colocado el software espía, generalmente alguien que previamente tuvo acceso físico al teléfono de la víctima, ver de forma remota el contenido del teléfono en tiempo real.

En mayo de 2024, robaron millones de tickets de soporte al cliente, incluida información personal, correos electrónicos de soporte y archivos adjuntos de mSpy. Si bien los ataques a proveedores de software espía son cada vez más comunes, siguen siendo notables debido a la información personal altamente confidencial que a menudo se incluye en los datos, en este caso sobre los clientes que usan el servicio.

El ataque abarcó registros de servicio al cliente que datan de 2014, que fueron robados del sistema de soporte al cliente basado en Zendesk del fabricante de software espía.

Como es habitual con los programas espía para teléfonos, los registros de clientes de mSpy incluyen correos electrónicos de personas que buscan ayuda para rastrear subrepticiamente los teléfonos de sus parejas, familiares o hijos. Algunos de esos correos electrónicos y mensajes incluyen solicitudes de asistencia al cliente de varios militares estadounidenses de alto rango, un juez de un tribunal federal de apelaciones de Estados Unidos en funciones, un organismo de control de un departamento del gobierno de Estados Unidos y una oficina del sheriff del condado de Arkansas que solicita una licencia gratuita para probar la aplicación. De hecho se cree que los datos filtrados corresponden a los clientes que solicitaron asistencia, y que el número de clientes es mucho mayor.

Sin embargo, los propietarios de mSpy, una empresa con sede en Ucrania llamada Brainstack, no han reconocido ni revelado públicamente la violación.

Troy Hunt, quien dirige el sitio de notificación de violaciones de datos Have I Been Pwned , obtuvo una copia del conjunto completo de datos filtrados, agregando alrededor de 2,4 millones de direcciones de correo electrónico únicas de clientes de mSpy al catálogo de violaciones de datos pasadas de su sitio.

Según una lista compilada recientemente por TechCrunch , mSpy es el último programa espía para teléfonos que ha sido hackeado en los últimos meses. La vulneración de mSpy demuestra una vez más que no se puede confiar en que los fabricantes de programas espía mantengan seguros sus datos, ni los de sus clientes ni los de sus víctimas.

Créditos de la imagen: TechCrunch

Esta es la tercera violación de datos conocida de mSpy desde que la empresa comenzó alrededor de 2010. mSpy es una de las operaciones de software espía para teléfonos de más larga duración, lo que en parte explica cómo acumuló tantos clientes.

A pesar de su tamaño y alcance, los operadores de mSpy han permanecido ocultos a la vista del público y han eludido en gran medida el escrutinio, hasta ahora. No es raro que los creadores de software espía oculten las identidades reales de sus empleados para proteger a la empresa de los riesgos legales y de reputación asociados con la realización de una operación de vigilancia telefónica global, lo cual es ilegal en muchos países.

Pero la violación de datos de Zendesk de mSpy expuso que su empresa matriz era una empresa tecnológica ucraniana llamada Brainstack.

Puedes obtener más información sobre esta brecha de seguridad aquí: https://blog.miguelandrescaballero.es/mSpy